Mobile-Menu

Kommentar von Johannes M. Holz, Rödl KI im Unternehmen: Produktivitätsschub mit neuen Haftungsrisiken

Von Johannes M. Holz 5 min Lesedauer

Anbieter zum Thema

Rödl Rechtsanwaltsgesellschaft Steuerberatungsges. mbH
INFOMOTION GmbH
Fivetran Germany GmbH

Künstliche Intelligenz (KI) hat in vielen Unternehmen längst den Status eines Experimentierfeldes verlassen. Sprachmodelle, Analysewerkzeuge und Automatisierungssysteme werden in alltägliche Prozesse integriert. Der Nutzen ist real: Entwürfe entstehen schneller, Informationen werden auffindbarer, Routinearbeit wird reduziert. Gleichzeitig zeigt die Beratungspraxis ein wiederkehrendes Muster: Die Einführung erfolgt häufig schneller als die rechtliche und organisatorische Einordnung.

Der Autor: Rechtsanwalt Johannes M. Holz, LL.M., ist Partner bei Rödl und Leiter der Praxisgruppe Technologie & Daten sowie Co-Leiter der International Group Tech & Data. Er berät umfassend im IT-, Datenschutz-, Daten- und KI-Recht mit Schwerpunkt auf der Strukturierung und Begleitung komplexer IT-Projekte. Als Fachanwalt für Informationstechnologierecht und zertifizierter Datenschutzbeauftragter verbindet er juristische Beratung mit technischem Projektverständnis – von Vertragsgestaltung und AGB bis zu Projektkonflikten und streitigen Auseinandersetzungen.(Bild: Rödl)
Der Autor: Rechtsanwalt Johannes M. Holz, LL.M., ist Partner bei Rödl und Leiter der Praxisgruppe Technologie & Daten sowie Co-Leiter der International Group Tech & Data. Er berät umfassend im IT-, Datenschutz-, Daten- und KI-Recht mit Schwerpunkt auf der Strukturierung und Begleitung komplexer IT-Projekte. Als Fachanwalt für Informationstechnologierecht und zertifizierter Datenschutzbeauftragter verbindet er juristische Beratung mit technischem Projektverständnis – von Vertragsgestaltung und AGB bis zu Projektkonflikten und streitigen Auseinandersetzungen.
(Bild: Rödl)

Genau daraus entstehen die typischen Problemfelder – nicht, weil die Technologie „verboten“ wäre, sondern weil Verantwortlichkeiten, Grenzen und Kontrollen fehlen.

Haftung: KI ist ein Werkzeug – die Verantwortung bleibt beim Unternehmen

Generative Systeme können plausibel formulieren und dennoch falschen Output generieren. Das Risiko liegt weniger in kleinen Schönheitsfehlern, sondern in inhaltlichen Fehlentscheidungen: rechtlich unhaltbare Vertragsklauseln, halluzinierte Quellen, unzutreffende Zahlen, fehlerhafte Produktversprechen oder diskriminierende Aussagen im Recruiting. Rechtlich wird KI in der Regel als Werkzeug eingeordnet. Wer KI-Ergebnisse ungeprüft übernimmt, bleibt verantwortlich – intern wie extern. Praktisch heißt das: Unternehmen brauchen definierte Prüf- und Freigabeprozesse („Human in the loop“), Qualitätsstandards je Use Case sowie eine klare Dokumentation, wer wann was freigegeben hat.

Beweis- und Dokumentenfragen: Was zählt als „verlässlich“?

KI-generierte Inhalte werden zunehmend Teil von Entscheidungsakten: Protokolle, Zusammenfassungen, Entscheidungsvorlagen oder auch E-Mails. Damit stellt sich die Frage, wie Nachvollziehbarkeit und Beweiswert gesichert werden. Sinnvoll sind Versionierung, Protokollierung von Prompts/Parametern (soweit möglich), Kennzeichnung KI-unterstützter Inhalte und klare Regeln, wann Originalquellen zwingend beizuziehen sind. Für rechtssichere Prozesse ist Transparenz wichtiger als inhaltlich „perfekte“ Antworten.

Datenschutz: Eingaben sind Datenabflüsse

Datenschutzprobleme entstehen oft nicht durch das KI-Modell an sich, sondern durch die Nutzung: Wer personenbezogene Daten, Kundendaten, Gesundheitsdaten oder interne HR-Informationen in externe Tools eingibt, erzeugt einen Datenabfluss. Bei Cloud- und insbesondere US-basierten Diensten kommen zusätzliche Fragen hinzu: internationale Datentransfers, Zugriffsmöglichkeiten, Auftragsverarbeitung und technische Schutzmaßnahmen. Unternehmen sollten deshalb festlegen, welche Datenklassen in welche Systeme eingespeist werden dürfen, und für sensible Daten gegebenenfalls auf Enterprise-Varianten, On-Prem/Private-Cloud oder abgeschirmte RAG-Setups ausweichen.

Praktisch gehören dazu: Datenminimierung (nur das Nötigste eingeben), Pseudonymisierung/Anonymisierung, klare Löschkonzepte, Rollen- und Rechtekonzepte („Need-to-know-Prinzip“) sowie die Prüfung, ob eine Datenschutz-Folgenabschätzung erforderlich ist (insbesondere bei Profiling, umfangreicher Verarbeitung oder besonderen Kategorien personenbezogener Daten).

Mitbestimmung: KI verändert Arbeitsbedingungen

Arbeitsrechtlich relevant wird KI immer dann, wenn Arbeitsprozesse, Leistungserwartungen oder Kontrollmöglichkeiten sich spürbar ändern. Systeme, die Arbeitsschritte vorgeben, Tickets priorisieren, Output bewerten oder Verhalten analysieren, können Mitbestimmungsrechte auslösen. Selbst „harmlose“ Chatbots können mittelbar zur Leistungsverdichtung führen, wenn Taktung und Kennzahlen angepasst werden. Frühzeitige Einbindung von Betriebsräten und transparente Regeln schaffen Akzeptanz und reduzieren Konflikte mit der Belegschaft.

EU-AI-Act: Von der Tool-Nutzung zur Compliance-Organisation

Mit dem EU-AI-Act entsteht ein risikobasierter Rahmen, der je nach Risikoklassifizierung des Use Cases unterschiedlich greift. Für Unternehmen wird entscheidend sein, überhaupt zu wissen, welche KI-Systeme eingesetzt werden und wofür. Hier wird es oft zu bösen Überraschungen kommen, wenn klar wird, wie viele unregulierte KI-Anwendungen bereits durch die Mitarbeiter genutzt werden (sog. „Shadow-AI“). Ohne Use-Case-Inventar und Risikoklassifizierung ist Compliance kaum möglich. Hochrisiko-Anwendungen (z. B. in Beschäftigung, Kreditwürdigkeit oder kritischer Infrastruktur) können umfangreiche Anforderungen auslösen: Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht, Robustheit und Cybersicherheit. Hier besonders brisant: Die für Hochrisiko-Anwendungen definierten Anforderungen werden ab dem 2. August 2026 verbindlich.

Auch dort, wo kein Hochrisiko vorliegt, sind Transparenzpflichten relevant – etwa, wenn Nutzer mit einem System interagieren oder Inhalte synthetisch erzeugt werden. Unternehmen sollten daher Vorgaben zur Kennzeichnung und Kommunikation entwickeln, bevor es zu externen Beschwerden oder regulatorischen Nachfragen kommt. Auch Bußgelder werden in Zukunft denkbar sein.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Big Data, Analytics & AI

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Lieferkette und Verträge: Vendor-Management wird zentral

Viele KI-Funktionen kommen über Drittanbieter: SaaS-Tools, Plug-ins, APIs, Agent-Frameworks. Damit steigen die Anforderungen an Beschaffung und Vertragsgestaltung. Wesentliche Punkte sind: Datenschutz (AV-Verträge, Unterauftragsverarbeiter), Informationssicherheit, Audit-Rechte, Support- und Incident-Pflichten, Haftungsregeln, Sicherheitsupdates, Exit-Szenarien sowie klare Zusagen, ob Eingaben/Outputs zu Trainingszwecken genutzt werden. Gerade letzteres ist in der Praxis oft ein Deal-Breaker, wenn es hierbei kein Mitbestimmungsrecht für das Unternehmen gibt.

Schutz von Geschäftsgeheimnissen und IP

Neben personenbezogenen Daten sind Geschäftsgeheimnisse gefährdet: Strategiepapiere, Quellcode, Preiskalkulationen, Forschungsergebnisse. Ohne klare Regeln landen solche Informationen schnell in Prompt-Logs oder externen Systemen. Unternehmen benötigen daher eine Policy, welche Informationen nie in externe Modelle eingegeben werden dürfen und welche technischen Sperren (DLP, Proxy-Lösungen) sinnvoll sind. Zudem sollte geprüft werden, wie mit urheberrechtlich relevanten Inhalten umzugehen ist – insbesondere bei automatisierter Content-Erstellung.

Governance: Weniger Papier, mehr funktionierende Leitplanken

Wirksam ist eine pragmatische KI-Governance, die den Produktivitätsgewinn nicht abwürgt, aber Risiken steuert. Bewährt haben sich: ein unternehmensinternes KI-Register (Tools und Use Cases), abgestufte Freigaben nach Risikoklasse, Standard-Prompts und Qualitätschecklisten, Schulungen („was darf ich eingeben?“), sowie ein klarer Incident-Prozess für Fehlverhalten, Data Leaks oder diskriminierende Outputs. Zu beachten ist hier insbesondere, dass die Vermittlung von KI-Kompetenzen im Unternehmen seit dem 2. Februar 2025 Pflicht ist, sofern KI-Anwendungen im Unternehmen eingesetzt werden.

Betrieb und Monitoring: Modelle altern, Risiken wandern

KI-Systeme verhalten sich nicht statisch. Prompts ändern sich, Datenquellen werden erweitert, Modelle werden aktualisiert, und damit ändern sich Qualität und Fehlerrisiken. Sinnvoll sind daher regelmäßige Reviews: Stichproben zur Output-Qualität, Bias-Checks in sensiblen Prozessen, Security-Tests (Prompt-Injection, Datenexfiltration), sowie Monitoring, ob sich Ergebnisse über Updates hinweg verändern. Wo KI automatisiert Entscheidungen vorbereitet, sollte es Eskalationswege geben – inklusive der Möglichkeit, den Use Case schnell zu stoppen („Kill Switch“).

Umsetzung in 30 Tagen: Ein pragmatischer Startplan

Wer schnell Ordnung schaffen will, kann mit einem überschaubaren Paket beginnen: (a) Inventar aller genutzten Tools und Use Cases, (b) Ampel-Klassifizierung nach Risiko (niedrig/mittel/hoch), (c) klare Eingaberegeln für Daten und Geheimnisse, (d) Standard-Freigabeprozess für externe Kommunikation, (e) Vendor-Checkliste für Einkauf und IT, (f) kurze Pflichtschulung für Mitarbeiter. Damit entstehen handhabbare Leitplanken, ohne die Nutzung zu blockieren.

Schnittstellen zu IT-Security und Regulierung

KI-Einführungen sind auch ein Security-Projekt. Zugriffsrechte, Protokollierung, Schlüsselmanagement für APIs und die Absicherung von Integrationen in Ticketsysteme, CRM oder Code-Repos gehören von Beginn an dazu. In regulierten Branchen kommen zusätzliche Rahmenwerke hinzu (z. B. Anforderungen der Aufsicht, Informationssicherheitsstandards oder branchenspezifische Compliance). Wer KI als Teil des ISMS betrachtet, reduziert Reibungsverluste.

Unterm Strich gilt: KI ist inzwischen Alltagstechnologie. Die eigentliche Differenzierung entsteht durch professionelle Umsetzung – technisch, organisatorisch und rechtlich.

Artikelfiles und Artikellinks

(ID:50776375)

Weiterführende Inhalte